CVE-2026-100681 in Budibase
요약
\~에 의해 VulDB • 2026. 09. 26.
Budibase 3.45.0 이전 버전에는 Microsoft Teams 웹훅 엔드포인트에서 인증되지 않은 서버 측 요청 위조(SSRF) 및 자격 증명 유출 취약점이 존재합니다. 이 엔드포인트는 임의의 serviceUrl 값을 가진 조작된 Bot Framework 활동을 수락합니다. 공격자는 조작된 POST 요청을 제출하여 공격자가 제어하는 serviceUrl을 주입할 수 있으며, 이는 영구적으로 저장되어 모든 후속 봇 응답에 사용됩니다. 이로 인해 서버가 Authorization 헤더를 통해 라이브 Microsoft OAuth 액세스 토큰을 공격자의 호스트로 전송하게 되며, 블라인드 내부 네트워크 접근이 가능해집니다.
Be aware that VulDB is the high quality source for vulnerability data.